Gizlilik Politikası

1. Veri sorumlusu

GDPR anlamında veri sorumlusu:

2. Kapsam ve roller

Bu Gizlilik Politikası; web sitemizde, ImmoVision platformunda (panel ve mobil uygulama) ve platformla sunulan exposé'ler, mikrositeler ve sanal turlarda kişisel verilerin işlenmesi hakkında bilgi verir.

Kendi web sitemizdeki işlemeler, müşterilerimizin kullanıcı hesapları, sözleşme, faturalama, destek ve sistemlerimizin güvenliği bakımından veri sorumlusu biziz.

Emlak ofisleri (müşterilerimiz) platformu kendi ticari faaliyetleri için kullanır: ilgilenenleri, müşterileri, mülk sahipleri, exposé'leri ve mikrositeleri için. Bu veriler bakımından veri sorumlusu ilgili ofistir; biz bu verileri, Veri İşleme Sözleşmemiz (AVV/DPA) esasında GDPR md. 28 uyarınca veri işleyen olarak işleriz. Bir ilgilenen olarak bir ofisin exposé'sini veya mikrositesini kullanıyorsanız, verilerinize ilişkin talepleriniz için lütfen öncelikle bu ofise başvurunuz; iletişim bilgileri ilgili sayfanın künyesinde yer alır. Aşağıdaki bölümler, bu işlemeyi de anlayabilmeniz için orada kullanılan teknolojiyi açıklar.

Kişisel veriler, kimliği belirli veya belirlenebilir bir gerçek kişiye ilişkin her türlü bilgidir. İşleme, GDPR md. 6/1-a, b, c ve f esasında yapılır; hukuki dayanak her işleme için ayrıca belirtilmiştir.

Hangi işlevlerin yapay zekâ (YZ) kullandığı, hangi sağlayıcıyla ve nerede, ayrıca “Yapay Zekâ Şeffaflığı” sayfamızda açıklanmıştır. Türkiye'deki ilgili kişiler için ek olarak “KVKK Aydınlatma Metni”miz geçerlidir.

3. Barındırma ve teknik sunum

Web sitesi ve platform, Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Almanya tarafından Almanya'daki veri merkezlerinde işletilir. Veritabanı, yüklenen dosyalar, üretilen medya ve yedekler de orada bulunur.

Barındırma kapsamında teknik olarak gerekli veriler işlenir, özellikle:

• IP adresi,
• erişim tarihi ve saati,
• görüntülenen sayfalar ve dosyalar,
• tarayıcı tarafından iletildiği ölçüde tarayıcı türü, işletim sistemi ve yönlendiren URL,
• durum ve hata verileri.

Hukuki dayanak GDPR md. 6/1-f'dir (güvenli ve istikrarlı sunum). Hetzner verileri, GDPR md. 28 uyarınca yapılmış bir sözleşme esasında veri işleyen olarak işler.

4. Sunucu kayıtları, güvenlik kayıtları ve kötüye kullanımın önlenmesi

Saldırıları ve kötüye kullanımı tespit etmek, hataları analiz etmek ve işlemleri ispatlayabilmek için güvenlikle ilgili işlemleri (ör. oturum açmalar, başarısız oturum açma girişimleri, yetki değişiklikleri, dışa aktarmalar, silmeler) kayıt altına alırız. Denetim kaydı, sonradan değiştirilmeye karşı korunmaktadır (zincirlenmiş sağlama toplamları).

Özellikle kullanıcı kimliği, zaman, işlemin türü, ilgili veri kaydı ve teknik bilgiler işlenir. Hukuki dayanak GDPR md. 6/1-f, yasal ispat amaçları için GDPR md. 6/1-c'dir.

Saklama: güvenlik ve oturum açma kayıtları 2 yıl, lead ve kişi işlemlerine ilişkin kayıtlar 3 yıl, YZ ve medya işlemlerine ilişkin kayıtlar 1 yıl; faturalama ve onay kanıtları yasal saklama ve ispat yükümlülükleri devam ettiği sürece.

5. Çerezler, yerel depolama ve benzeri teknolojiler

Yalnızca talep ettiğiniz işlev için gerekli olan çerezleri ve depolama kayıtlarını kullanırız (Almanya Telekomünikasyon Dijital Hizmetler Veri Koruma Kanunu (TDDDG) md. 25 fıkra 2 no. 2). Analiz, izleme, reklam veya yeniden pazarlama çerezleri ve pikselleri kullanmayız.

Panelde oturum açtıktan sonra bir oturum çerezi (14 gün) ve bir cihaz çerezi (400 güne kadar) yerleştiririz; cihaz çerezi sayesinde hangi cihazlarda oturum açtığınızı hesabınızda görebilir ve bu cihazlarda oturumu kapatabilirsiniz. Herkese açık exposé'lerde ve mikrositelerde sunucu çerez yerleştirmez.

Tarayıcınızın yerel deposunda ayarlar saklanabilir; ör. dil, çerezlere ilişkin bilgilendirme, YZ asistanı için rastgele bir ziyaretçi kimliği (bir görüşmenin sürdürülebilmesi ve bir onayın eşleştirilebilmesi için) ve – yalnızca siz seçerseniz – “Haritayı bu cihazda hatırla” ayarı. Adları ve süreleriyle birlikte tam listeyi “Çerezler ve Depolama Teknolojileri” sayfamızda bulabilirsiniz.

Sonraki işleme GDPR md. 6/1-b (işlevin sunulması) veya GDPR md. 6/1-f (güvenlik) esasında yapılır.

6. Stripe üzerinden ödemelere ilişkin bilgi

Bir ödeme işlemini, bakiye yüklemeyi, bir ödeme sayfasını (checkout) veya Stripe'ın gömülü ödeme öğelerini açtığınızda Stripe, hizmetleriyle bağlantılı olarak ödeme işlemlerinin yürütülmesi, kimlik doğrulama, dolandırıcılığın önlenmesi, güvenlik ve Stripe hizmetlerinin sunulması için gerekli olduğu ölçüde kendi çerezlerini ve benzeri teknolojileri kullanabilir. Stripe bunu kendi Çerez Politikası'nda ve Gizlilik Politikası'nda açıklamaktadır.

Bu işlemeler, somut olarak açılan ödeme sürecine ilişkindir. Genel web sitemizde bunun ötesinde şu anda pazarlama veya analiz çerezleri kullanmıyoruz.

7. Dil ayarları / uluslararasılaştırma

Web sitemiz veya platformumuz birden fazla dili destekliyorsa, tekrar ziyaretinizde istediğiniz görünümü geri yüklemek için seçtiğiniz dili veya bölgesel gösterimi saklayabiliriz.

İşleme GDPR md. 6/1-b veya GDPR md. 6/1-f esasında yapılır. Bunun için cihazınıza teknik olarak gerekli bir erişim veya teknik olarak gerekli bir depolama gerekiyorsa, bu TDDDG md. 25 fıkra 2 çerçevesinde yapılır.

8. Kendi kaynağımızdan yazı tipleri ve kütüphaneler

Yazı tiplerini ve program kütüphanelerini (ör. harita gösterimi için) kendi sunucularımızdan sunarız. Bu nedenle sayfa açıldığında üçüncü tarafların yazı tipi veya CDN hizmetlerine bağlantı kurulmaz.

9. Kendi medya içeriklerimiz ve kendi barındırdığımız videolar

Sayfalarımızda, kendimizin barındırdığı veya kendi altyapımız üzerinden sunduğumuz görseller, grafikler, MP4 dosyaları ve diğer medya içerikleri yer alabilir.

Bu tür içerikler açıldığında teknik olarak gerekli bağlantı ve iletim verileri işlenir. İşleme GDPR md. 6/1-f esasında yapılır.

10. Genel olarak iletişime geçme

Bizimle iletişim formu, e-posta, telefon veya başka bir yolla iletişime geçtiğinizde, talebinizi işlemek ve sizinle iletişime geçmek için bize ilettiğiniz verileri işleriz.

Bu kapsamda özellikle şunlar işlenebilir:

• ad,
• e-posta adresi,
• telefon numarası,
• şirket adı,
• mesajınızın içeriği,
• ilgili gayrimenkul veya hizmet,
• iletimle bağlantılı teknik meta veriler.

Talebiniz bir sözleşmenin kurulmasına veya sözleşme öncesi tedbirlere yönelikse işleme GDPR md. 6/1-b esasında yapılır. Diğer durumlarda işleme GDPR md. 6/1-f esasında yapılır.

Talebiniz nihai olarak sonuçlandırıldığında ve yasal saklama yükümlülükleri veya meşru ispat menfaatleri buna engel olmadığında verileriniz silinir.

11. Web sitesi iletişim formu

Web sitemizdeki iletişim formunu kullandığınızda, talebinizi işlemek, sorularınızı yanıtlamak ve sizinle iletişime geçmek için girdiğiniz verileri işleriz.

Formlardaki zorunlu alanlar bu şekilde işaretlenmiştir. Bu bilgiler olmadan talebiniz işlenemeyebilir.

12. Exposé'ler, mikrositeler ve sanal turlar üzerinden gelen talepler

Bir ofisin exposé'lerinde ve mikrositelerinde gayrimenkul talepleri, yer gösterme veya randevu istekleri, arama talepleri, mülk sahibi talepleri veya değerleme talepleri gönderebilirsiniz. Veri sorumlusu ilgili ofistir; verileri ofis adına işleriz.

Girdiğiniz bilgiler (ör. ad, e-posta, telefon, mesaj, arama kriterleri, randevu isteği) ve bunların gayrimenkule ve yetkili ilgili kişiye eşleştirilmesi işlenir. Onayınız veya teyidiniz, metin sürümü ve zamanıyla birlikte kanıt olarak saklanır; bu sırada IP adresiniz ve tarayıcınız saklanmaz.

Mikrositelerin sayfa istatistikleri için (ör. görüntülemeler, tıklamalar) IP adresi ve tarayıcı bilgisi saklamayız; yalnızca her gün değişen, geri hesaplanamayan bir kontrol değeri saklarız; bu istatistik verileri 90 gün sonra silinir. Arama talepleri son etkinlikten 180 gün sonra silinir.

Hukuki dayanak GDPR md. 6/1-b (talep, sözleşme ilişkisinin kurulması), istatistik için GDPR md. 6/1-f, onaya dayalı işlevler için GDPR md. 6/1-a'dır.

13. Randevu alma / takvim işlevleri

Web sitemiz, exposé'ler, mikrositeler veya sistem üzerinden randevu talep ettiğinizde veya aldığınızda, verilerinizi randevunun belirlenmesi, onaylanması, ertelenmesi ve organizasyonu için işleriz.

Bu kapsamda özellikle şu veriler işlenebilir:

• ad,
• e-posta adresi,
• telefon numarası,
• istenen randevu,
• ilgili gayrimenkul veya işlem,
• talebe ilişkin notlar veya bilgiler,
• randevu yönetimine ilişkin durum verileri.

İşleme GDPR md. 6/1-b esasında yapılır.

14. Kullanıcı hesapları, oturum açma ve güvenlik

Platform kullanıcıları için hesabın kurulması ve kullanılması için gerekli verileri işleriz:

• ad, e-posta adresi, telefon numarası (isteğe bağlı), profil resmi (isteğe bağlı),
• rol, yetkiler, ofis ve ekip ataması,
• şifre yalnızca özet (hash) olarak,
• iki aşamalı giriş (e-posta ile kod veya kimlik doğrulayıcı uygulama; gizli anahtar şifrelenmiş olarak saklanır),
• oturum açılmış cihazlar (cihaz adı, son kullanım) ve oturum verileri,
• kişisel ayarlar (dil, görünüm, bildirimler, YZ işlevleri açık/kapalı).

Oturumlar 14 gün sonra sona erer; 90 gün kullanılmayan cihazlarda oturum otomatik olarak kapatılır. Bir hesap engellenirse veya yetkiler değiştirilirse mevcut oturumlar derhâl sona erer.

Hukuki dayanak GDPR md. 6/1-b, güvenlik önlemleri için GDPR md. 6/1-f'dir.

15. CRM, lead yönetimi ve dahili işlem takibi

Platformumuzun kullanımı kapsamında lead'lerin, müşteri taleplerinin, işlemlerin, görevlerin ve iletişim geçmişlerinin yönetimi, yapılandırılması ve işlenmesi için kişisel verileri işleriz.

Bunlar özellikle şunları içerebilir:

• temel veriler ve iletişim verileri,
• ilgili gayrimenkul ve ilgi alanı verileri,
• iletişim geçmişleri,
• dahili işlem notları,
• sorumluluklar, durum ve görevler,
• notlar, ilgili randevu ve süreç verileri.

İşleme, sözleşme ilişkisinin kurulması veya sözleşmenin ifası için gerekli olduğu ölçüde GDPR md. 6/1-b esasında, ayrıca dahili organizasyon ve yönetim amaçları için tamamlayıcı olarak GDPR md. 6/1-f esasında yapılır.

Danışmanların kişisel notları yalnızca ilgili kişi tarafından görülebilir (ofis yönetimi tarafından da görülemez). Silinen notlar çöp kutusunda 30 gün sonra kalıcı olarak silinir.

16. Dahili lead istatistikleri ve sistem içi değerlendirmeler

Dahili erişim, talep, lead, kullanım veya süreç istatistikleri oluşturduğumuz ölçüde, bu esas olarak dahili yönetim, kalite güvencesi, kapasite planlaması, kötüye kullanımın önlenmesi, faturalamanın izlenebilirliği ve süreçlerimizin iyileştirilmesi amacıyla yapılır.

Bu, tamamen sunucu tarafında, dahili olarak ve herkese açık web sitesinde onaya tabi izleme teknolojileri kullanılmadan yapıldığı ölçüde işlemeyi GDPR md. 6/1-f'ye dayandırırız. Meşru menfaatimiz, hizmetimizin ekonomik, teknik ve organizasyonel olarak yönetilmesidir.

Sistem konseptimize göre şu anda pazarlama, yeniden pazarlama veya profile dayalı reklam amaçlarıyla herkese açık bir web sitesi analizi yapılmamaktadır.

Kullanıcı arayüzünü iyileştirmek için ofis ve gün başına yalnızca belirli görünümlerin ne sıklıkla kullanıldığını sayarız — kişiyle ilişkilendirilmeden ve içerik olmadan; bu sayaçlar 400 gün sonra silinir.

17. YZ işlevleri

ImmoVision; metinler ve çeviriler, görsel düzenleme ve sanal döşeme (virtual staging), videolar, dikte ve sesli komutlar, görüşmelerin yazıya dökülmesi ve özetlenmesi, pazar analizleri ve exposé'lerde, mikrositelerde ve panelde asistanlar için YZ kullanır. İşlev bazında genel bakış “Yapay Zekâ Şeffaflığı” sayfasında yer alır.

Ana sağlayıcı Google Cloud'dur (Vertex AI, Gemini ve Veo modelleri), sözleşme tarafı Google Cloud EMEA Limited, İrlanda. İşleme, Avrupa Birliği'ndeki veri merkezlerinde yapılır (AB bölgesi, Frankfurt, Hollanda). Buna ek olarak bir AB bölgesinde Microsoft Azure OpenAI (Microsoft Ireland Operations Limited) kullanılabilir. Her iki sağlayıcı da veri işleyen olarak hareket eder.

YZ sağlayıcısına yalnızca ilgili işlev için gerekli içerikler iletilir; ör. metin girdileri, gayrimenkul bilgileri, görseller, ses kayıtları veya görüşme içerikleri. WhatsApp asistanında e-posta adresleri, telefon numaraları ve hesap numaraları iletimden önce yer tutucularla değiştirilir.

Kullanılan sağlayıcıların sözleşme koşullarına göre verileriniz, onların YZ modellerinin eğitiminde kullanılmaz. Biz de müşteri verileriyle hiçbir YZ modeli eğitmeyiz. Sağlayıcılar, kendi koşullarına göre girdileri kısa süreliğine ara belleğe alabilir veya kötüye kullanımın tespiti için inceleyebilir.

Dikteler, sesli komutlar ve kişisel asistanla yapılan canlı görüşmeler ses kaydı olarak saklanmaz; yalnızca sizin benimsediğiniz sonuç saklanır. YZ işlevlerinin sonuçları kullanılmadan önce bir insan tarafından kontrol edilir; YZ ile üretilmiş veya YZ ile değiştirilmiş görseller ve videolar işaretlenir (bkz. “Yapay Zekâ Şeffaflığı”). Kişisel asistan („Sintrii") yanıt vermek için ImmoVision'dan veriyi yalnız ilgili kişinin görme yetkisi çerçevesinde okur, leadlerin iletişim bilgileri dahil; işleme AB'de Google tarafından veri işleyen olarak yapılır.

Hukuki dayanak GDPR md. 6/1-b (talep edilen işlev) ve tamamlayıcı olarak GDPR md. 6/1-f'dir. Özel nitelikli kişisel veriler (GDPR md. 9) YZ işlevleri üzerinden işlenmemelidir.

18. Video oluşturma

Gayrimenkul ve sosyal medya videoları için Google Veo (Vertex AI, AB bölgesi) gayrimenkul fotoğraflarından video klipler üretir. Videolar kendi sunucularımızda veya işleme (rendering) hizmeti Shotstack (Shotstack Pty Ltd, Avustralya) üzerinden birleştirilir. Shotstack'e video için seçilen görseller, klipler ve metinler iletilir — kural olarak ilgilenenlere ait veriler iletilmez. Avustralya bir üçüncü ülkedir; aktarım AB Standart Sözleşme Maddeleri esasında yapılır (GDPR md. 46/2-c).

Tamamlanmış videolar, gayrimenkul kaydı var olduğu sürece veya ofis bunları silene kadar ofisin hesabında saklanır. Videolar, YZ ile üretildiğine dair görünür bir ibare içerir.

Hukuki dayanak GDPR md. 6/1-b'dir.

19. Görsel düzenleme, sanal döşeme ve YZ görsel kanıtı

Görseller YZ ile düzenlenebilir (ör. sanal döşeme, yenileme önizlemesi, görsel iyileştirme). Kaynak görsel, talimatlarınız ve sonuç Google Vertex AI (AB bölgesi) üzerinden işlenir.

İşlev bunu öngördüğü ölçüde, tanınabilir yüzler işlemeden önce tanınmaz hâle getirilir. YZ ile değiştirilmiş görseller görünür şekilde ve görsel verilerinde (meta veriler) işaretlenir. Bir YZ görseli bir ilana alınırsa, kanıt amacıyla orijinal görseli, YZ görselini, aracı ve talimatı, sorumlu kişinin onayını ve yayın kanallarını saklarız; bu kanıt kaydı mevcut olduğu sürece orijinal ve YZ görseli otomatik olarak silinmez.

Hukuki dayanak GDPR md. 6/1-b; kanıt kaydı için GDPR md. 6/1-c ve f'dir (işaretleme ve haksız rekabetin önlenmesine ilişkin yükümlülükler).

20. Görüşme kaydı, yazıya dökme ve sesli notlar

Ofisler, telefon görüşmelerini telefon hizmeti sağlayıcıları Twilio (Twilio Ireland Limited) veya Voximplant üzerinden kaydedebilir ve YZ ile değerlendirebilir. Kayıt, ancak görüşülen kişi bir anonstan sonra açıkça onay verdikten sonra başlar; onay olmadan kayıt yapılmaz. Onay, zamanıyla birlikte saklanır.

Kayıtlar Google Vertex AI (AB bölgesi) üzerinden yazıya dökülür ve özetlenir. Kayıtların saklama süresini ofis belirler (30, 90, 180 veya 365 gün ya da süresiz; varsayılan 30 gün); süre dolunca silinir.

Sesli notlar ve dikteler de Google Vertex AI üzerinden değerlendirilir; müşteri görüşmelerinde yalnızca görüşülen kişilerin açık rızasıyla. Ses kaydı değerlendirmeden sonra saklanmaz.

Bir kaydın hukuka uygunluğundan ofis sorumludur. Hukuki dayanak GDPR md. 6/1-a (açık rıza), danışmanın sesli notları için ise GDPR md. 6/1-b'dir.

20.1 Exposé'ler ve mikrositelerdeki YZ asistanı (sohbet ve ses)

Ofisler exposé'lerde ve mikrositelerde, gayrimenkul hakkındaki soruları yanıtlayan ve randevu önerebilen bir YZ asistanı sunabilir. Asistan, bir YZ ile konuştuğunuzu açıkça belirtir. Görüşme ancak onayınızdan sonra başlar; metin sürümü ve zaman kanıt olarak saklanır.

Mesajlarınız veya sesiniz, yanıtlar, rastgele bir ziyaretçi kimliği ve – belirtirseniz – bir talep veya randevu için iletişim bilgileriniz işlenir. Ses, Google Vertex AI (Gemini Live, Hollanda bölgesi) üzerinden gerçek zamanlı işlenir ve ses kaydı olarak saklanmaz. Görüşme geçmişleri 90 gün sonra silinir.

Onayınızı asistanda her zaman geri alabilirsiniz; bu durumda görüşme geçmişi ve özetler silinir. Daha önce iletilmiş talepler ofiste kalır. Hukuki dayanak GDPR md. 6/1-a, talepler ve randevular için GDPR md. 6/1-b'dir.

20.2 WhatsApp, Instagram ve Messenger

Ofisler WhatsApp Business, Instagram ve Facebook Messenger hesaplarını ve Meta lead formlarını bağlayabilir. Mesajlar Meta Platforms Ireland Limited'in arayüzleri üzerinden (WhatsApp'ta ayrıca Twilio üzerinden) iletilir. Meta bu kapsamda verileri kendi koşullarına göre kendi sorumluluğunda da işler.

Bir YZ asistanı WhatsApp mesajlarını yanıtlayabilir; ilk yanıtına bir YZ olduğu ibaresiyle başlar ve bir çalışan yanıt verir vermez durur. Hukuki dayanak GDPR md. 6/1-b veya GDPR md. 6/1-f'dir.

20.3 E-posta gönderimi, posta kutusu ve takvim bağlantısı

Sistem e-postalarını (ör. onaylar, bildirimler) kendi posta sunucumuz üzerinden göndeririz. Danışmanların müşterilerine gönderdiği e-postalar, danışman Microsoft 365 veya Google posta kutusunu bağladıysa bu posta kutusu üzerinden gönderilir; aynı şekilde takvimler eşitlenebilir. Danışman „Outlook kişileri"ni açarsa ImmoVision Microsoft rehberini yalnız okur (ad, telefon, e-posta, firma; not veya doğum günü alınmaz); yalnız danışmanın kendisinin seçtiği kişiler aktarılır, yalnız ona görünür ve sonra tek yönde güncellenir. ImmoVision rehbere asla yazmaz. Posta kutusu veya takvim sağlayıcısındaki işleme, ofis ile bu sağlayıcı arasındaki sözleşme esasında yapılır. Danışman ayrıca gelen kutusunun okunmasını açtıysa ImmoVision gelen e-postaları sınıflandırır: emlak portallarından gelen talepler ve mevcut müşterilerin e-postaları ilgili lead’e kaydedilir; tanınmayan gönderenlerde yalnız kısa bir alıntı (en çok 400 karakter) öneri olarak gösterilir ve 48 saat sonra silinir. Bültenler, reklamlar, bildirimler ve otomatik yanıtlar okunmaz.

Hukuki dayanak GDPR md. 6/1-b'dir.

20.4 Anlık bildirimler (push)

Exposé'lerde ve mikrositelerde bildirimlere (ör. yeni uygun gayrimenkuller) abone olabilirsiniz; platform kullanıcıları cihazlarına bildirim alabilir. Bunun için tarayıcının oluşturduğu abonelik adresini ve onayınızı (metin sürümü, zaman) saklarız. İletim, tarayıcı üreticinizin push hizmeti (ör. Google, Mozilla, Apple, Microsoft) üzerinden şifreli olarak yapılır.

Bildirim aboneliğini sayfada veya tarayıcınızda her zaman iptal edebilirsiniz. Hukuki dayanak GDPR md. 6/1-a'dır.

20.5 Haritalar

Exposé'de bir Google haritası (Google Ireland Limited) ancak siz bunu açıkça tıkladığınızda gösterilir. Google ile bağlantı ancak bu durumda kurulur ve IP adresiniz iletilir. Kararınız, rastgele bir kimlikle birlikte kanıt olarak saklanır (IP adresi olmadan); isterseniz tarayıcınız bu izni hatırlar. Hukuki dayanak GDPR md. 6/1-a ve TDDDG md. 25 fıkra 1'dir.

Harita seçimi açıldığında (ör. mikrositelerdeki gayrimenkul değerlemesinde veya gayrimenkul kaydı sırasında) OpenStreetMap'ten (OpenStreetMap Foundation, Birleşik Krallık) harita parçaları ve adres araması yüklenir; bu sırada IP adresiniz OpenStreetMap'e iletilir. Birleşik Krallık için AB Komisyonu'nun bir yeterlilik kararı bulunmaktadır. Hukuki dayanak GDPR md. 6/1-f'dir (sizin talep ettiğiniz harita işlevi).

Konum analizleri için herkese açık harita verilerini (OpenStreetMap'in Overpass API'si) yalnızca gayrimenkulün koordinatlarıyla sorgularız, kişisel verilerle sorgulamayız.

20.6 Ofisin talebiyle yapılan entegrasyonlar

Ofisler başka hizmetleri de bağlayabilir; ör. CRM ve emlak programları (HubSpot, Propstack, onOffice), emlak portalları, Türkiye'deki Ticari İleti Yönetim Sistemi (İYS), elektronik fatura sağlayıcıları ve webhook'lar. Veriler bu hizmetlere yalnızca ofis bağlantıyı kurduğunda iletilir; ilgili hizmetteki işleme, ofis ile hizmet arasındaki sözleşmeye tabidir.

Ofisin seçtiği harici bir sağlayıcının 360° turu sayfaya gömülü olabilir; açıldığında o sağlayıcının gizlilik bildirimleri geçerlidir.

21. Ödeme işlemleri, bakiye, faturalama ve çevrimiçi ödemeler

Bir abonelik başlattığınızda, bakiye yüklediğinizde veya diğer ücretli hizmetleri kullandığınızda, verilerinizi sözleşmenin ifası, ödeme işlemlerinin yürütülmesi, muhasebe, bakiye yönetimi ve kullanımın izlenebilirliği için işleriz.

Bu kapsamda özellikle şu veriler işlenebilir:

• ad,
• fatura adresi,
• e-posta adresi,
• sözleşme ve hizmet bilgileri,
• bakiye durumu,
• yüklemeler,
• ödeme durumu,
• faturalama olayları,
• cüzdan hareketleri,
• işlem ve fatura verileri,
• vergi açısından önemli bilgiler.

Hukuki dayanak GDPR md. 6/1-b ve yasal saklama ve ispat yükümlülükleri bulunduğu ölçüde GDPR md. 6/1-c'dir.

21.1 Stripe kullanımı

Ödeme işlemleri için Stripe'ı kullanabiliriz. Ödeme işlemleri kapsamında Stripe özellikle ödeme, işlem, kimlik tespiti, dolandırıcılığın önlenmesi ve teknik cihaz verilerini işleyebilir. Stripe ayrıca hizmetleriyle bağlantılı olarak çerezler ve benzeri teknolojilerin kullanılabileceğini ve kişisel verilerin işlemlerin yürütülmesi, dolandırıcılığın önlenmesi, kimlik doğrulama ve Stripe hizmetlerinin performans analizi için işlenebileceğini belirtmektedir.

Stripe kişisel verileri kısmen veri işleyen, kısmen de bağımsız veri sorumlusu olarak işleyebilir; özellikle dolandırıcılığın önlenmesi, mali kayıpların önlenmesi, güvenlik amaçları ve Stripe hizmetlerinin sunulması için.

22. Alıcılar / alıcı kategorileri

Kişisel verileri yalnızca belirtilen amaçlar için gerekli olduğu veya yasal bir yükümlülük bulunduğu ölçüde aktarırız. Alıcılar şunlardır:

• Hetzner Online GmbH (barındırma, Almanya),
• Google Cloud EMEA Limited (Vertex AI üzerinden YZ işlevleri, AB bölgeleri),
• Microsoft Ireland Operations Limited (Azure OpenAI, AB bölgesi), kullanıldığı ölçüde,
• Shotstack Pty Ltd (video işleme (rendering), Avustralya),
• Twilio Ireland Limited ve Voximplant (telefon, kayıt, WhatsApp iletimi), ofis tarafından kurulduğu ölçüde,
• Meta Platforms Ireland Limited (WhatsApp, Instagram, Messenger, lead formları), ofis tarafından kurulduğu ölçüde,
• Stripe Payments Europe Limited (ödeme işlemleri),
• tarayıcı üreticilerinin push hizmetleri, Google (izninizden sonra harita), OpenStreetMap Foundation (harita seçimi),
• ofis tarafından bağlanan hizmetler (posta kutusu, takvim, CRM, portallar, İYS, e-fatura),
• yasal olarak gerekli olduğu ölçüde vergi danışmanlığı, kamu kurumları ve mahkemeler.

Amaç ve yeriyle birlikte alt işleyenlerin tam listesi “Alt İşleyenler” sayfasında yer alır.

23. Üçüncü ülkelere aktarım

YZ, barındırma ve depolama AB'de yapılır. AB/AEA dışındaki ülkelere aktarım yalnızca GDPR md. 44 vd. uyarınca bir dayanak bulunduğu ölçüde gerçekleşir:

• ABD (ör. grup şirketi veya alt işleyen olarak Google LLC, Microsoft Corporation, Meta Platforms Inc., Twilio Inc., Stripe Inc.): sertifikalı şirketler için AB-ABD Veri Gizliliği Çerçevesi'ne (EU-U.S. Data Privacy Framework) ilişkin yeterlilik kararı, tamamlayıcı olarak AB Standart Sözleşme Maddeleri,
• Avustralya (Shotstack): AB Standart Sözleşme Maddeleri,
• Birleşik Krallık (OpenStreetMap Foundation): yeterlilik kararı.

Türkiye'deki ilgili kişiler için AB'deki işleme, KVKK md. 9 uyarınca yurt dışına aktarımdır; ayrıntılar KVKK Aydınlatma Metnimizde yer alır.

24. Saklama süresi

Kişisel verileri yalnızca ilgili amaç için gerekli olduğu sürece veya yasal saklama yükümlülükleri bulunduğu sürece saklarız. Ayrıntılı olarak:

• oturumlar 14 gün; kullanılmayan cihazlarda oturum 90 gün sonra kapatılır,
• mikrosite istatistikleri 90 gün; arama talepleri son etkinlikten 180 gün sonra,
• YZ asistanının görüşme geçmişleri 90 gün,
• arama kayıtları ofisin belirlediği süre (varsayılan 30 gün),
• çöp kutusundaki notlar 30 gün,
• ofis verisi dışa aktarımları 24 saat,
• güvenlik kayıtları 2 yıl, lead ve kişi kayıtları 3 yıl, YZ ve medya kayıtları 1 yıl,
• bir ofisin lead'leri, kişileri, gayrimenkulleri, medyası ve belgeleri ofis tarafından silinene veya sözleşme sona erene kadar (AVV/DPA uyarınca iade/silme),
• YZ görsel kanıtları (orijinal, YZ görseli, onay, yayınlar) kanıt için bir süre belirlenene kadar; otomatik olarak silinmez,
• ticari ve vergisel belgeler (ör. faturalar, muhasebe belgeleri) Alman Ticaret Kanunu (HGB) § 257 ve Alman Vergi Usul Kanunu (AO) § 147 uyarınca 6, 8 veya 10 yıl,
• onay kanıtları, onay kullanıldığı ve ondan doğan talepler ileri sürülebildiği sürece.

25. İşlemenin hukuki dayanakları

Bu Gizlilik Politikası'nda aksi belirtilmedikçe kişisel verileri şu hukuki dayanaklar esasında işleriz:

• GDPR md. 6/1-a – açık rıza,
• GDPR md. 6/1-b – sözleşme / sözleşme öncesi tedbirler,
• GDPR md. 6/1-c – hukuki yükümlülük,
• GDPR md. 6/1-f – meşru menfaatler.

Cihazlara teknik olarak gerekli erişimler için TDDDG md. 25 fıkra 2 no. 2, onaya dayalı erişimler için (ör. Google haritasının hatırlanması) TDDDG md. 25 fıkra 1 geçerlidir.

26. Otomatik kararlar / profilleme

GDPR md. 22 anlamında, sizin hakkınızda hukuki sonuç doğuran veya sizi benzer şekilde önemli ölçüde etkileyen, yalnızca otomatik işlemeye dayalı bir karar alınmaz.

YZ işlevleri ve gayrimenkul eşleştirmesi (matching), danışmanları işlerinde destekleyen öneriler, özetler ve sıralamalar üretir. Teklifler, randevular ve sözleşmeler hakkında insanlar karar verir.

27. Haklarınız

GDPR uyarınca özellikle şu haklara sahipsiniz:

• bilgi edinme hakkı,
• düzeltme hakkı,
• silme hakkı,
• işlemenin kısıtlanmasını talep etme hakkı,
• veri taşınabilirliği hakkı,
• GDPR md. 6/1-f esasında yapılan işlemelere itiraz hakkı,
• verilmiş bir açık rızayı gelecekte geçerli olmak üzere her zaman geri alma hakkı,
• bir veri koruma denetim makamına şikâyette bulunma hakkı.

28. Denetim makamına şikâyet hakkı

Bir veri koruma denetim makamına şikâyette bulunma hakkına sahipsiniz.

Merkezi Schleswig-Holstein'da bulunan veri sorumluları için kural olarak Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein (Schleswig-Holstein Bağımsız Eyalet Veri Koruma Merkezi) yetkilidir.

Türkiye'deki ilgili kişiler ayrıca Kişisel Verileri Koruma Kurumu'na başvurabilir.

29. Veri sağlama yükümlülüğü

Kişisel verilerin sağlanması yasal veya sözleşmesel olarak genel bir zorunluluk değildir. Ancak belirli işlevler için gerekli verilerin sağlanması, talebinizi işleyebilmemiz, bir randevu organize edebilmemiz, bir sözleşmeyi ifa edebilmemiz, bir kullanıcı hesabı sunabilmemiz, bakiyeyi yönetebilmemiz veya talep edilen bir işlevi yerine getirebilmemiz için gereklidir.

İlgili gerekli bilgiler olmadan belirli hizmetler sunulamayabilir veya sözleşmeler kurulamayabilir.

30. Veri güvenliği

GDPR md. 32 uyarınca teknik ve organizasyonel tedbirler alırız, özellikle:

• şifreli iletim (TLS) ve üçüncü taraflara ait erişim bilgilerinin ve anahtarların şifreli saklanması,
• iki aşamalı giriş, cihaz kontrolü ve engelleme durumunda oturumun derhâl sona erdirilmesi,
• müşteri (kiracı) ayrımı ve role dayalı görünürlük (ör. ofis bu şekilde ayarlarsa danışmanlar yalnızca kendi lead'lerini görür),
• özel dosyalar için süreli, imzalı bağlantılar,
• zincirlenmiş sağlama toplamlarıyla denetim kaydı,
• dosyaların derhâl silinmesi yerine karantina ve düzenli veri yedeklemeleri,
• ofis ve kişi bazında YZ işlevleri için açma/kapama anahtarları.

31. Bu Gizlilik Politikası'ndaki değişiklikler

Yasal gereklilikler, teknik süreçler veya hizmetlerimiz değiştiğinde bu Gizlilik Politikası'nı uyarlama hakkımızı saklı tutarız. Her zaman bu web sitesinde yayımlanan güncel sürüm geçerlidir.